1
PM
2015-09-23 Katinka Wellin
Ekonomichef 08-124 57 181
Katinka.Wellin@ekero.se
Kommunstyrelsen – kommunledningskontorets internkontrollplan år 2015
Dnr KS15/192 Sammanfattning
I enlighet med KFS 01:7 (Dnr KS13/251-002) - Reglemente för intern kontroll i Ekerö kommun - ska Kommunstyrelsen anta internkontrollplan för den egna förvalt- ningen. Planen ska antas årligen, återrapporteras årligen och i samband med det se- nare ska den interna kontrollplanens aktualitet prövas.
Kommunledningskontoret har genomfört en väsentlighets- och riskbedömning över ett flertal processer och ansvarsområden inom kontoret. Utifrån bedömningen har internkontrollplan för år 2015 upprättats omfattande tre kontrollområden:
• Incidentrapportering IT
• Avtalstrohet mot tecknade avtal
• Uppföljning av förtroendekänsliga poster
Återrapportering av 2015 års internkontroll planeras ske till Kommunstyrelsen i feb- ruari 2016. Den aktuella bedömningen visar även på några ytterligare kontrollområ- den och som – efter en aktualitetsprövning senare under 2015 – kommer att införas i internkontrollplan 2016.
________________
Innehåll:
1. Ansvarsområde och omfattning ... 2
2. Ansvar för och syfte med internkontroll ... 2
3. Arbetsmetodik internkontroll ... 3
4. Internkontroll plan 2015 för Kommunstyrelsen – kommunledningskontoret ... 6
4.1. Väsentlighets- och riskbedömning ... 6
4.2. Områden för 2015 års interna kontrollplan ... 6
Bilaga 1: Väsentlighets- och riskanalys ... 7
Bilaga 2: Internkontrollplan år 2015 ... 8
Bilaga 3: Exempel - dokumentation av praktiskt internkontrollarbete avseende förtroendekänsliga poster ... 9
2 1. Ansvarsområde och omfattning
I enlighet med KFS 01:7 (Dnr KS13/251-002) - Reglemente för intern kontroll i Ekerö kommun – framgår att Kommunstyrelsen anta internkontrollplan för den egna förvaltningen, här benämnd kommunledningskontor med Kommundirektören och tjänstemannastab.
Kommunledningskontoret innehåller ett antal huvudfunktioner för att utföra upp- dragen; Kommundirektör som högsta ansvarig tjänsteman, biträdande kommundi- rektör som i sin enhet organisatoriskt ansvarar för kommunens kontaktcenter Ekerö Direkt och strategiska säkerhetsfrågor, Kommunkansli med ansvar för ärendeflöde, registrering och arkiv, HR-enhet med personaladministration och ansvar för kompe- tensförsörjning, lönebildning, ledarutveckling och löneadministration, Ekonomien- het med redovisning och finansiering, ekonomistyrning och upphandlingskompetens, IT-enhet med ansvar för den tekniska plattformen, strategisk IT-utveckling, driftan- svar och support, Näringsliv- och turismenhet med många näringslivskontakter, In- formationsenhet som ombesörjer extern och intern kommunikation, samt plane- ringschef med ansvar för bland annat den översiktliga samhällsplaneringen.
Utgångpunkten för den interna kontrollplanen är de processer och ansvarsområden som återfinns inom kommunledningskontorets enheter. I de kontrollmoment som i sitt utförande är mer av ”kameral natur” och som tar sin utgångspunkt i vad som be- nämns som ”förtroendekänsliga poster” inkluderas även bokförda transaktioner för Kommunstyrelsens ledamöter.
2. Ansvar för och syfte med internkontroll
I Kommunallagen uttrycks nämndens ansvar för intern kontroll. Enligt kommenta- rerna till Kommunallagen 9 kap § 9 återges att begreppet intern kontroll inte är defi- nierat. Enligt proposition (Prop. 1998/99:66 s 59) avses i administrativa samman- hang dels nämndens bestämmelser om bland annat fördelning av ansvar och befo- genheter, dels systematiskt ordnade interna kontroller av organisation, redovisnings- system och administrativa rutiner. Syftet med den interna kontrollen anges vara att säkra en effektiv förvaltning och att undvika att allvarliga fel begås.
I Ekerö kommuns organisation sker systematiska uppföljningar av verksamhet och ekonomi som rapporteras till nämnd, Kommunstyrelse och Kommunfullmäktige. I KFS (Kommunal Författningssamling) 01:3 återfinns bestämmelser om ansvar och budgetuppföljning. Månadsuppföljning sker åtta gånger per år. I samband med upp- följning och prognos per mars och per augusti samt i årsbokslutet belyses ekonomi, prestationer och måluppfyllelse och verksamhetsutveckling i övrigt. Ytterligare upp- följningar sker exempelvis inom Socialnämndens ledningssystem för kvalitet och i Barn- och utbildningsnämndens kvalitetsredovisningar.
I Ekerö finns en för organisationen enhetlig styrmodell dokumenterad. Styrmodellen för verksamheten i Ekerö kommun baseras på att målstyrning tillämpas. Modellens olika delar och samband tydliggör ansvar och prioriteringar. Styrmodellen underlät- tar kommunikationen inom hela organisationen. Mellan såväl den politiska nivån som tjänstemannanivån som inom den politiska organisationen som mellan de olika
3 nivåerna i tjänstemannanivån. Innebörden i intern kontroll är ytterligare en del av styrsystemet och uttrycks specifikt i KL (Kommunallagen).
Den interna kontrollen ska uppfattas som en integrerad del i de olika verksamhets- och ekonomiprocesserna men behöver ibland kompletteras med specifika och fri- stående kontrollmoment
Kommunfullmäktige har i KFS 01:7 fastställt reglemente för den interna kontrollen i Ekerö kommun. Tillämpningsanvisningar med omfattning, ansvarsfördelning och praktisk tillämpning inklusive blanketterför det systematiskt arbete med den interna kontrollen är utfärdade.
I enlighet med vad som framgår i reglementet ska Kommunstyrelsen anta internkon- trollplan för den egna förvaltningen. Planen ska antas årligen, återrapporteras årligen och i samband med det senare ska den interna kontrollplanens aktualitet prövas.
I ärendet om Reglemente för internkontroll för Ekerö kommun (Dnr KS13/251-002) återfinns i promemorian en återgivning över syftet med internkontroll. Kortfattat är det en ytterligare dimension av styrsystemet som i mångt handlar om att på ett sys- tematiskt sätt identifiera, reducera, eliminera och/ eller förebygga risken för allvar- liga fel. Allvarliga fel med avgörande konsekvenser både ur ett finansiellt perspektiv och ur ett verksamhetsperspektiv. Utöver att ”ha koll på läget” kan ett systematiskt internkontrollarbete skapa än bättre förutsättningar för att ”sova gott om natten”.
I Kommunallagen, och återgivet i promemorian tillhörande ärendet om beslut om reglemente för internkontroll, finns tydligt uttalat att det är varje enskild nämnd som inom sitt ansvarsområde har ansvar för att den interna kontrollen är tillräcklig. Sty- relsen har ett samordnande ansvar men inte att pröva hur nämnden tar sitt ansvar utöver vad uppsiktplikten påkallar.
3. Arbetsmetodik internkontroll
I vad som framgår i promemorian i ärendet om reglemente för internkontroll och som sedan kommit till uttryck i de övergripande tillämpningsanvisningarna för kommunens internkontrollarbete, baseras tillämpning och metod på den så kallade COSO – en vedertagen modell för intern styrning och kontroll. I korthet tar COSO:s ramverk sin utgångspunkt i målen för verksamheten och utifrån fem kontrollkompo- nenter skapas en helhetssyn på processen.
4 Komponenterna är centrala i COSO:s syn på intern styrning och kontroll.
• Riskbedömning – Identifiera de väsentligaste riskerna.
• Kontrollmiljö – För att hantera riskerna ser vi på förutsättningarna som en tyd- lig ledning, kompetent personal och en effektiv organisering av verksamheten.
• Kontrollaktiviteter – Är kontrollerna fokuserade på riskerna och är de effek- tiva? Saknas något? Finns det överlappningar?
• Information och kommunikation - Finns information tillgänglig för att be- döma den interna styrningen och kontrollen? Fungerar informationskanalerna?
Når informationen rätt personer i organisationen? Finns mekanismer för åter- koppling?
• Tillsyn – Hela processen för intern styrning och kontroll måste ”övervakas”. Görs det systematiska kontroller? Rapporteras avvikelserna till berörda i ledningen?
Ger övervakningen signaler om korrigeringsbehov i den interna styrningen och kontrollen?
All teoribildning, men även enligt praxis, säger att avgörande för internkontrollen är en väsentlighets- och riskbedömning av verksamheten. En VoR-analys som ligger till grund för internkontrollplanen där identifierade områden och kontrollmoment pekas ut för att sedan följas upp och resultatet analyseras. Resultatet ligger till grund för förbättringar/ förändringar. Internkontrollarbetet i praktiken kan översiktligt illu- streras med nedanstående bild:
Allt kan inte följas upp och av allt som följs upp ska inte allt ingå i internkontrollpla- nen. Avgörande för bedömningen är resultatet av väsentlighet- och riskanalysen. Det handlar om en bedömning över sannolikhet och konsekvens av händelser för definie- rade områden.
• ”Sannolikhet” anger hur troligt (sannolikt) det är att det finns eller kommer att uppstå brister i rutinen/ processen.
• ”Konsekvens” innebär hur mycket verksamhetens kvalitet, kostnad, förtroende eller resurser i övrigt påverkas om brister i rutinen/ processen finns eller uppstår.
Översiktligt kan väsentlighet och risk illustreras enligt följande matris:
5 Med utgångspunkt i identifierade områ-
den för VoR-analys görs en bedömning av sannolikhet och konsekvens och de ”plot- tas” in i en matris.
På en fyrgradig skala görs bedömning om väsentlighet och risk som utmynnar i prio- riterade områden för interkontrollplanens olika kontrollmoment.
Väsentlighet, det vill säga ”konsekvens” vid fel, innebär hur mycket i verksamhetens kvalitet, kostnad, förtroende eller i resurser i övrigt som påverkas, om brister i ruti- nen/ processen finns eller uppstår.
Risk, här i meningen ”sannolikt”/ troligt, för att det finns eller kommer att uppstå brister i rutin, process, system.
Väsentlighets- och riskbedömningen görs genom att olika rutiner, processer och sy- stem bedöms och placeras in i matrisen. Varje ruta i matrisen motsvarar en kombi- nation av bedömd konsekvens (ekonomisk, verksamhetsmässig eller annan konse- kvens) och sannolikhet för att den inträffar/ kommer att inträffa. Konsekvens och sannolikhet graderas från ett till fyra och multipliceras med varandra och värdet förs in i VoR-matrisen. Utifrån bedömning och de värden som erhålles ges underlag för de områden som blir ämne för internkontrollplanen och därmed ett specifikt och fri- stående kontrollmoment som kompletterats till de olika verksamhets- och ekonomi- processerna.
I enlighet med vedertaget ramverk, Ekerö kommuns reglemente för internkontroll och de övergripande tillämpningsanvisningarna följer arbetsmetoden efter gjord VoR-analys i huvudsak följande övergripande steg:
• Intern kontrollplan upprättas – Över vilka områden, vilka kontrollmoment, me- tod, frekvens, kontrollansvarig och till vem som rapportering sker.
• Det interna kontrollarbetet utförs i praktiken
• Rapportering sker enligt fastställda rapporteringsvägar och med återgivande av resultat och slutsatser och eventuella åtgärder.
6 4. Internkontroll plan 2015 för Kommunstyrelsen – kommunlednings-
kontoret
4.1. Väsentlighets- och riskbedömning
Kommunledningskontoret, representerad av kontorets chefsgrupp, har i november 2014, identifierat drygt 20 delområden (processer och/ eller ansvarsområden). I hu- vudsak kom olika slags processer, kvalitetssäkring av aktiviteter och kommunikation samt administrativa händelseförlopp och förtroendeskapande inslag vara det som främst berördes. De identifierade delområdena blev föremål för en väsentlighets- och riskbedömning enligt den i tillämpningsanvisningarna lagda strukturen. Arbetet ge- nomfördes i workshop där hela chefsgruppen medverkade i dialog och bedömning av väsentlighet och risk för samtliga delområden.
Väsentligheten (konsekvensen) av att det inträffar respektive risken (sannolikheten) för att det inträffar värderades på en skala mellan ett till fyra och multiplicerades till en analys på lägst ett och högst 16 för varje delområde.
Bedömningen för varje delområde återfinns i bilaga 1.
Inget delområde bedömdes till 16 (röd) som krävde omedelbart agerande. Sex områ- den bedömdes till nio eller tolv (orange) som säger att de bör ingå i internkontroll- planen i och med att det kan vara behövligt med nya regelverk och uppföljning för att reducera risken för oönskade händelser. Flertalet delområden är i övrigt bedömda till en lägre grad av kombination väsentlighet och risk. De bedömda till mellan fyra och åtta (gul) ska hållas under fortsatt uppsikt. Resterade kräver inget agerande, bedöm- ning 1 till 3 (grön).
4.2. Områden för 2015 års interna kontrollplan
Innevarande års internkontrollplan upptar hälften av de sex ”orange” delområdena där fem får 9 i VoR-analysen och en får 12 i analysen.
Övriga tre bedömdes som väsentliga men inte möjliga att uppta i internkontrollplan innevarande år. Anledningen till det avgörandet är att de dels krävde mer säkerstäl- lande av att korrekt kontrollmoment var identifierat och dels en viss inverkan av kända tillfälliga vakanser i personalgruppen.
Utifrån bedömningen har internkontrollplan för år 2015 upprättats omfattande tre kontrollområden:
• Incidentrapportering IT,
• Avtalstrohet mot tecknade avtal och
• Uppföljning av förtroendekänsliga poster.
Internkontrollplan 2015 återfinns i bilaga 2.
Den aktuella bedömningen visar även på några ytterligare kontrollområden och som – efter en aktualitetsprövning senare under 2015 – kommer att införas i internkon- trollplan 2016.
Innevarande års kontrollmoment kom redan i det första planeringsskedet att ta sikte på att kontrollmomenten skulle genomförande under andra delen av 2015. Återrap- portering sker till Kommunstyrelsen i februari 2016 då samtidigt föreslås en ny in- ternkontrollplan för 2016. Målsättningen är att under kalenderår 2016 sprida kon- trollaktiviteterna.
7 Bilaga 1: Väsentlighets- och riskanalys
Väsentlighet- och riskanalys - samtliga områden 2014-11-24 IK år 2015
Väsentlighet Risk VoR
Område - Rutin/process/system (= konsekvens) (=sannolikhet)
Kansli - Ärendeprocess Förbiseende av soc-ärende, orosanmälan 4 3 12 b)
Kansli - Ärendeprocess Uppdragslistan 2 3 6
Kansli - Ärendeprocess 1:a ledets handlingar, fungerande process 2 3 6
Kansli - Ärenden Sekretessprövning - felaktig utlämning 4 2 8
Kansli - Ärenden Utlämnande av handlingar i tid 1 2 2
Samhällsplanering Kvalitetssäkring ärenden 3 1 3
IT - Riktlinjer För e-post, datoranvändning och internet 3 3 9 b)
IT- Incidenthantering Dokumentation och åtgärdsplaner incidenter 3 3 9 a)
Effektiv förvaltning Samarbete ED och bakomliggande kontor 2 4 8
Ek - Upphandling Avtalstrohet mot tecknade avtal 3 3 9 a)
Ek - Upphandling Regler och rutiner vid direktupphandling 3 3 9 b)
Ek - Upphandling Avtalsleverantörers avtalsefterlevnad 3 2 6
Ekonomi Momsredovisning och momskontroll 3 2 6
Ekonomi Säkerhet rutin utbetalning (filöverföring bank) 3 1 3
Ekonomi Anskaffningsbehörighet - efterlevnad 3 2 6
HR/ Lön Löneutbetalning process 3 1 3
HR - Arbetsmiljö Systematik arbetsmiljöprocess 3 2 6
Info - förtroende Hantering av sociala medier 2 3 6
Information Rutiner/regler uppdatering externwebb 2 3 6
Ledning - förtroende Förtroendekänsliga poster- öppenhet, korrekthet 3 3 9 a)
Ledning
Kontinuitetshantering, back-up, personberoende
(kortsiktigt) 2 3 6
Arbetsplanering:
a) IK-plan 2015
b) Underlag IK-plan 2016, maa behov fördjupad förberedelse o avvaktar att nuvarande vakanser är tillsatta
8 Bilaga 2: Internkontrollplan år 2015
9 Bilaga 3: Exempel - dokumentation av praktiskt internkontrollarbete avseende förtroendekänsliga poster
